Bir veri ihlali yaşandığında ilk gündem genellikle bildirim yükümlülüğüdür. Ancak ihlale konu verilerin bir kısmı yurt dışındaki sunucularda tutuluyorsa, tablo yalnızca ihlal yönetimi olmaktan çıkar; aktarımın hukuki dayanağı da denetime açılır. KVKK ve 6698 sayılı Kanun ile 5651 sayılı Kanunun kesiştiği bu noktada veri sorumlusunun ve ilgili kişinin izleyeceği yollar birbirinden ayrılır.
İhlal ile Aktarımın Ayrı Ayrı İncelenmesi
İhlalin teknik nedeni ile aktarımın hukuki dayanağı farklı sorulardır. İhlal bir saldırı sonucu doğmuş olsa bile, verinin yurt dışında bulunması ayrı bir hukuka uygunluk incelemesi gerektirir. Bu nedenle olay raporu iki bölüm hâlinde kurulmalı: ne oldu ve veri neden oradaydı.
Veri Sorumlusu İçin Kontrol Listesi
- Etkilenen veri kategorileri ve kişi sayısının kayıt altına alınması.
- Aktarımın hangi hukuki zemine dayandığının belgeyle gösterilmesi.
- Alt işleyenler ve bulut hizmet sağlayıcılarıyla yapılan sözleşmelerin gözden geçirilmesi.
- Teknik ve idari tedbirlerin ihlal öncesindeki hâlinin tarihli kayıtlarla ispatlanabilmesi.
- İlgili kişilere yapılacak bilgilendirmenin içeriği ve kanalı.
İlgili Kişi Hangi Kapıyı Çalmalı
İlgili kişi bakımından süreç, veri sorumlusuna yapılacak başvuruyla başlar. Bu başvuru yalnızca bir formalite değildir; kurula şikâyet yolunun açılması bakımından da işlev görür. Başvuruda talebin açık yazılması, hangi verinin nereye aktarıldığına dair somut soru sorulması ve cevabın tarihiyle birlikte saklanması, sonraki aşamalar için zemin oluşturur.
İdari Yol ile Tazminat Davası Arasındaki Tercih
İdari başvuru ve şikâyet yolu, kusurun tespiti bakımından güçlü bir dayanak üretir; buna karşılık kişisel zararın giderimi için ayrı bir hukuk davası gerekir. İki yolun sırası dosyanın niteliğine göre değişir: zarar somut ve ölçülebilirse dava öne alınabilir, kusur tartışmalıysa idari sürecin çıktısı beklenerek dava güçlendirilebilir. Karar verilirken zamanaşımı ve delillerin kaybolma hızı birlikte gözetilmelidir.
Uyarı
Yukarıdaki çerçeve genel bilgilendirme içindir; verinin türü, aktarım modeli ve sözleşme yapısı sonucu belirgin biçimde değiştirir. Bildirim veya başvuru yapılmadan önce teknik olay raporunun hukuki açıdan incelenmesi yararlı olur.